Two Way Chat <= 3.1.4 - Authenticated (Admin+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Two Way Chat en versiones hasta 3.1.4. Esta vulnerabilidad, con un nivel de severidad alto, permite a usuarios autenticados con privilegios de administrador acceder a archivos del sistema.

Contexto técnico

La vulnerabilidad de LFI se produce cuando un plugin permite la inclusión de archivos locales sin la debida validación de entrada. Esto puede ser explotado por un atacante que tenga acceso a la interfaz de administración, facilitando la lectura de archivos sensibles del servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante con privilegios de administrador acceder a información confidencial del sistema, lo que podría comprometer la seguridad general del sitio y la integridad de los datos.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la manipulación de parámetros en las solicitudes HTTP, permitiendo que el atacante incluya archivos arbitrarios del servidor.

Mitigación recomendada

Se recomienda actualizar el plugin Two Way Chat a la versión 3.1.5 o superior para mitigar esta vulnerabilidad. Además, es aconsejable revisar los permisos de los usuarios y aplicar prácticas de hardening en el servidor.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intenten acceder a archivos del sistema o cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.1.5 del plugin Two Way Chat.